Datenschutz-Grundverordnung im Mittelstand Was KMU jetzt für die DSGVO unbedingt noch tun müssen

Viele Unternehmen haben Schwierigkeiten mit der Umsetzung der DSGVO, das gilt für kleine und mittlere Unternehmen (KMU) ganz besonders. Weil aber bei KMU meist besondere Herausforderungen in Form von knappem Budget und wenig Personal zusammen kommen, sind jetzt Prioritäten gefragt, was in den nächsten Monaten zuerst angegangen werden muss.

Anbieter zum Thema

Insider Research

FTAPI Software GmbH

valvisio international AG

Fehlen interne Ressourcen für ein wichtiges Projekt, sind Outsourcing von Aufgaben und Insourcing von Kompetenzen die Wege der Wahl. Im Fall der Datenschutz-Grundverordnung (DSGVO / GDPR), die ab 25. Mai 2018 anzuwenden ist, finden Unternehmen auf dem Markt vielfältige Angebote, wie Beratung, Schulung, spezielle Tools, die bei der Umsetzung der DSGVO helfen, und externe Datenschutzbeauftragte, die sich als Datenschutz-Dienstleister schon seit langem etabliert haben.

Wie eine Studie des Digitalverbandes Bitkom ergab, hat sich nur jedes zweite Unternehmen in Deutschland bei der Umsetzung der EU-Datenschutzgrundverordnung bislang Hilfe von externen Experten geholt: 48 Prozent aller Unternehmen mit 20 oder mehr Beschäftigen geben demnach an, Spezialisten außerhalb des eigenen Hauses hinzugezogen zu haben. Am häufigsten wurden externe Anwälte eingeschaltet, die von rund jedem dritten Unternehmen (35 Prozent) konsultiert wurden. Externe Prüfer oder Auditoren haben 29 Prozent aller Unternehmen hinzugezogen, eine externe Datenschutzberatung fand in jedem fünften Unternehmen (21 Prozent) statt.

Meldepflichten bei IT-Sicherheitsvorfällen

Meldepflichten gibt es nicht nur bei der DSGVO

Die Aufstockung des eigenen Personals ist noch weniger Unternehmen gelungen: Bislang setzt nur jedes vierte Unternehmen (25 Prozent) zusätzliches Personal im Unternehmen ein, um die Umsetzung der DSGVO voranzubringen. Dabei haben gerade einmal fünf Prozent der Unternehmen zusätzliches Personal eingestellt, 20 Prozent geben an, vorhandenes Personal durch Umstrukturierungen für die DSGVO-Umsetzung einzusetzen.

Die wenigen Datenschutzexperten, die auf dem Markt zu finden sind, sind meistens sehr teuer, zudem bevorzugen sie, in größere Unternehmen einzutreten. Die Studie Global Information Security Workforce gab bereits im Februar 2017 Hinweise, dass der Qualifikationsmangel und Personalmangel mit einer schlechten Vorbereitung vieler Unternehmen in DACH auf die Datenschutzgrundverordnung einhergeht. Für kleine und mittlere Unternehmen gilt das ganz besonders.

DSGVO: Eine gewisse Sonderrolle für kleine Unternehmen

Sowohl der Gesetzgeber als auch die Aufsichtsbehörden für den Datenschutz sind sich sehr wohl bewusst, dass kleine und mittlere Unternehmen auf größere Schwierigkeiten treffen können, wenn es um die Umsetzung der DSGVO geht. Aus diesem Grund werden zum einen spezielle Schulungs- und Beratungsunterlagen angeboten, die den Zugang zur DSGVO vereinfachen sollen. Ein Beispiel ist ein Online-Test zur Standortbestimmung auf dem Weg zur DSGVO. Der Online-Test wurde vom Bayerischen Landesamt für Datenschutzaufsicht entwickelt.

Aber auch die DSGVO selbst behandelt die spezielle Situation der KMU. In den Erwägungsgründen zur DSGVO findet man zum Beispiel, dass die EU-Kommission besondere Maßnahmen für Kleinstunternehmen sowie kleine und mittlere Unternehmen erwägen soll. Zudem heißt es dort: „Um der besonderen Situation der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen Rechnung zu tragen, enthält diese Verordnung eine abweichende Regelung hinsichtlich des Führens eines Verzeichnisses für Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen. Außerdem werden die Organe und Einrichtungen der Union sowie die Mitgliedstaaten und deren Aufsichtsbehörden dazu angehalten, bei der Anwendung dieser Verordnung die besonderen Bedürfnisse von Kleinstunternehmen sowie von kleinen und mittleren Unternehmen zu berücksichtigen.“

Hinsichtlich des Verzeichnisses von Verarbeitungstätigkeiten (Artikel 30 DSGVO, früher Verfahrensverzeichnis) gilt: Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, müssen die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten nicht umsetzen, sofern die von ihnen vorgenommene Verarbeitung nicht ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder nicht die Verarbeitung besonderer Datenkategorien bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten einschließt.

Auch im Bereich Schulung und Aufklärung sollen spezielle Maßnahmen für KMU ergriffen werden: „Auf die Öffentlichkeit ausgerichtete Sensibilisierungsmaßnahmen der Aufsichtsbehörden sollten spezifische Maßnahmen einschließen, die sich an die Verantwortlichen und die Auftragsverarbeiter, einschließlich Kleinstunternehmen sowie kleiner und mittlerer Unternehmen, und an natürliche Personen, insbesondere im Bildungsbereich, richten.“

Ein weiterer Punkt: Die mit der DSGVO eingeführten Verhaltensregeln sollen insbesondere dazu dienen, eine wirksame Anwendung der Verordnung zu erleichtern, wobei den besonderen Bedürfnissen der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen Rechnung zu tragen ist. Das bedeutet konkret: Verbände sollten spezielle Verhaltensregeln entwickeln und nach DSGVO genehmigen lassen, damit die KMU Best-Practice-Anleitungen haben, wie sie die DSGVO umsetzen können. Diese Verhaltensregeln (Artikel 40 DSGVO) gibt es jedoch in der Form noch nicht. Im Bereich der Datenschutz-Zertifizierung (Artikel 42 DSGVO) soll ebenfalls „den besonderen Bedürfnissen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen Rechnung getragen werden.“ Auch hier sind die Vorbereitungen nicht abgeschlossen.

Klarheit bei der Datenschutz-Grundverordnung

9 DSGVO-Mythen enttarnt!

KMU müssen jetzt Prioritäten setzen

Vieles wird sich also noch entwickeln. KMU sollten deshalb jetzt an folgendes denken:

Priorität 1: Tatsächliche Anforderungen erfüllen. Wer als kleines oder mittelständisches Unternehmen noch vor einem Berg an Aufgaben zur Umsetzung der DSGVO steht, sollte prüfen, ob zum Beispiel ein Verzeichnis von Verarbeitungstätigkeiten überhaupt geführt werden muss (Kriterien sind in Artikel 30 DSGVO).

Priorität 2: Unterstützung bei Aufsichtsbehörden suchen. Die wenigen, verbleibenden Monate bis Mai 2018 sollten KMU so nutzen, dass sie so viel Hilfe in Anspruch nehmen, wie es möglich ist, und gleichzeitig den Fokus legen auf die wichtigsten Baustellen.

Priorität 3: Aktuellen Stand dokumentieren. Natürlich kann man nicht einfach bestimmte Forderungen unberücksichtigt lassen. Wichtig ist aber, dass man genau dokumentiert, wo man steht, warum man dort steht und was noch zur Umsetzung fehlt. Dadurch hat man nicht nur einen Projektplan, sondern man hat auch eine Dokumentation für die Aufsichtsbehörde. Hilfreich sind hier die Fragebögen des LDA Bayern zur DSGVO.

Priorität 4: Auf Verhaltensregeln achten. Zudem sollten KMU prüfen, ob sich in den Verbänden, in denen sie Mitglied sind, bereits Verhaltensregeln entwickeln. Solche Verhaltensregeln werden bei der Umsetzung der DSGVO branchenspezifisch helfen, wenn es sie denn dann gibt.

(ID:45088574)